1 方案背景
身份鑒別作為網(wǎng)絡用戶接入的基礎層控制非常重要，如何保證接入的用戶為合法用戶，即用戶身份的真實性，單通過一個口令來確定身份將是不安全的，調(diào)查顯示，有70%以上的成功的網(wǎng)絡攻擊都是通過破解口令的方式完成的，這都對信息和網(wǎng)絡資源造成嚴重威脅，直接造成信息失密和經(jīng)濟損失。
2 方案目標
本方案基于數(shù)字證書，解決用戶在訪問信息系統(tǒng)時進行身份鑒別的防假冒、防截獲、防重用等安全性問題。
3 方案概述
1.由具有電子認證服務許可的CA機構(gòu)給用戶簽發(fā)數(shù)字證書。CA機構(gòu)在簽發(fā)證書前，會嚴格核對用戶的身份證件，能滿足身份真實性要求
2. 用戶客戶端在登錄應用系統(tǒng)時，會對登錄表單進行數(shù)字簽名
3. 由PKI中間件對電子密鑰進行私鑰調(diào)用，完成數(shù)字簽名操作
4. 客戶端提交的登錄表單，主要包含被簽名的挑戰(zhàn)碼、用戶證書、簽名值，不具有私密性，可有效防止截獲和重放
5. 應用系統(tǒng)通過調(diào)用簽名驗簽服務器對用戶提交的登錄表單進行驗證，以保證用戶身份的真實性、有效性
6. 簽名驗簽服務器調(diào)用CA的證書注銷狀態(tài)查驗服務，以防止非法用戶登錄
4 網(wǎng)絡部署
5 方案價值
基于數(shù)字證書的身份認證登錄，被公認為是最好、最安全的登錄方式之一，因為具有以下優(yōu)點：
1.由NETCA給用戶簽發(fā)數(shù)字證書，能保證用戶身份真實，符合國家電子簽名法要求
2. 可防網(wǎng)絡竊聽。證書認證中，網(wǎng)上傳輸?shù)氖撬借€對一個挑戰(zhàn)碼的簽名，私鑰并不需要傳輸，所以竊聽者并不能通過網(wǎng)絡竊聽到用戶私鑰。另由于每次認證的挑戰(zhàn)碼都不同，竊聽者竊聽的認證數(shù)據(jù)并不能用來重放攻擊
3. 管理使用方便。用戶只需隨身攜帶一個電子密鑰（形式如U盾、IC卡等），就可在不同的電腦上隨時隨地地登錄不同的應用系統(tǒng)。而且用戶的私鑰始終只在電子密鑰里面，任何使用過的電腦上都沒有私鑰痕跡
4. 無法在服務器側(cè)攻擊。服務器側(cè)保存的只是用戶的公鑰或公鑰證書，并沒有用戶的私鑰。公鑰只能用來驗證簽名而不能產(chǎn)生用于登錄認證的簽名
6. 具有補救措施。用戶在使用電子密鑰里的私鑰做簽名時，需要本地輸入正確的PIN碼或做指紋識別，而且這個PIN碼還有重試次數(shù)限制，輸錯指定的次數(shù)后eKey將鎖死，有效地防止了別人的多次猜測。另外，用戶也可以直接向CA注銷自己的證書，及時防止自己的證書被盜用
6 項目案例
某行政管理綜合業(yè)務系統(tǒng)密碼應用改造項目
某養(yǎng)老保險業(yè)務信息系統(tǒng)密碼應用建設項目
微信咨詢
QQ咨詢
服務熱線
回到頂部
